UDP 스캔이 필터됨이라고 할 때, 그 WireGuard 피어는 정말 죽은 걸까요?

스캐너는 UDP 포트에 대해 열림 또는 필터됨을 출력하고, 결론은 보통 몇 초 안에 '터널이 고장 났다'는 쪽으로 따라옵니다. 그럴 수도 있지만 스캔이 그것을 입증한 것은 아닙니다. UDP는 연결 핸드셰이크를 담지 않고, WireGuard는 인증할 수 없는 것에는 아무것도 응답하지 않으므로 대부분의 프로브에 침묵이 예상되는 응답입니다.

대신 클라이언트에서 바깥으로 작업하고, 스캔은 여러 약한 데이터 포인트 중 하나로 취급하세요.

스캐너가 볼 수 있는 것과 없는 것

UDP 스캐너는 페이로드를 보내고 기다립니다. ICMP port-unreachable이 돌아오면 포트를 닫힘으로 보고할 수 있습니다. 아무것도 돌아오지 않으면 결과는 설계상 모호합니다: 필터된 경로, 존재하지 않는 호스트, 페이로드를 무시한 실행 중인 서비스가 모두 같은 침묵을 만듭니다. 세 가지 다른 상태, 하나의 출력 문자열입니다.

WireGuard는 그 모호함을 의도적으로 악화시킵니다. 프로토콜은 인증되는 패킷만 받아들이므로 잘못된 키를 가진 프로브는 응답 없이 버려집니다. 배너도, 버전 문자열도, 지문을 뜰 오류 메시지도 없습니다.

같은 포트 번호에서의 TCP 테스트는 관련된 어떤 것도 시험하지 않습니다. 존재하지 않을 수도 있는 다른 리스너를 구동할 뿐이고, 그 거부는 UDP에 대해 아무것도 말하지 않습니다.

따라서 열림·필터됨 상태는 당신의 서버보다 스캐너의 불확실성을 더 정확히 설명합니다.

실제 클라이언트를 프로필에서 안쪽으로 따라가세요

클라이언트 자체의 시각에서 시작하세요. 인터페이스에 주소가 있는지, 구성이 올바른 엔드포인트를 가리키는지, 연결을 시도할 때 핸드셰이크 카운터가 움직이는지 확인하세요. 패킷을 한 번도 보내지 않은 클라이언트와 패킷이 버려진 클라이언트는 상태 창에서 동일하게 보입니다. 오직 카운터만이 둘을 구별하므로 카운터를 먼저 읽으세요.

그다음 세 번째 위치에서 별도 스캔을 돌리는 대신, 허가된 시도가 한 번 일어나는 동안 서버 쪽을 관찰하세요:

wg show wg0 latest-handshakes
tcpdump -n -i eth0 udp port 51820 -c 10

첫 번째 명령은 피어별 마지막 핸드셰이크를 보고하며, 이는 인증된 교환이 완료되었다는 직접 증거입니다. 두 번째는 리스너 앞으로 오는 패킷이 도달하는지 보여 주며, 경로 문제와 구성 문제를 한 단계로 분리합니다.

캡처에 아무것도 나타나지 않으면 패킷이 호스트에 도달하지 않은 것이고 터널 구성은 용의자가 아닙니다. 예상한 주소에서 패킷이 오는데 핸드셰이크가 계속 제로라면 다음에 볼 곳은 키나 피어의 허용 주소입니다.

서버를 직접 관리한다면 서버에서 상관관계를 확인하세요

리스너가 존재하고 제공자의 방화벽이 UDP 포트를 허용하는지 확인하세요. 호스트 방화벽 규칙과 클라우드 보안 그룹은 서로 독립적인 두 관문이며, 어느 쪽이든 다른 쪽이 허용한 패킷을 버릴 수 있습니다. 기억나는 포트가 아니라 구성에 있는 실제 포트로 둘 다 확인하세요.

주소는 포트만큼 중요합니다. 특정 주소에서 수신하는 서버는 다른 주소로 도착한 패킷에 응답하지 않으며, 여러 인터페이스를 가진 호스트는 의도하지 않은 인터페이스로 프로브를 받을 수 있습니다.

모든 테스트는 테스트가 허가된 시스템 안에서 유지하세요. 유용한 비교는 실제 클라이언트 시도 하나와 예상되는 서버 경로 사이이며, 같은 제공자에 우연히 속한 주소를 더 넓게 훑는 것이 아닙니다.

스캔 결과를 정직하게 읽기

스캔은 호스트가 존재하고 포트가 중간 장비에 의해 분명히 차단되어 있지 않은지 확인하는 저렴한 방법입니다. 인증된 프로토콜의 도달성 증명이 아니며, 구성 테스트도 결코 아닙니다.

더 강한 증거는 정말로 중요한 클라이언트의 완료된 핸드셰이크와, 이어서 터널을 사용해 응답을 받는 요청입니다. 그 순서는 키, 허용 주소, 두 방화벽과 반환 경로를 한 번에 시험합니다.

실제 시도가 실패하는 지점에서는 여전히 다른 프로브가 아니라 클라이언트의 카운터와 서버의 캡처로 진단해야 합니다. 프로토콜 설명은 인증되지 않은 패킷이 왜 응답을 받지 못하는지 설명하며, 스캔 결과가 모호한 이유는 바로 그것입니다.